Buku Panduan Respons Perisian Tebusan (Ransomware) untuk Syarikat di Malaysia

Mengapa Ransomware Memerlukan Buku Panduan Bertulis

Ransomware moden bukan hanya menyulitkan fail. Ia turut merangkumi pemindahan data secara haram, ancaman membocorkan data di tapak pembocoran (leak site) dan tekanan psikologi terhadap pengurusan kanan. Dalam keadaan tergesa-gesa, keputusan yang dibuat secara ad hoc sering memburukkan keadaan: pasukan IT memulakan semula pelayan yang dijangkiti, kunci penyahsulitan hilang, atau pegawai komunikasi memberikan kenyataan sebelum siasatan forensik selesai.

Buku panduan bertulis (incident response playbook) mengurangkan beban kognitif semasa krisis. Ia menetapkan siapa membuat apa, dalam tempoh berapa lama, dan dengan bukti apa. Bagi syarikat yang tertakluk kepada BNM RMiT, NACSA NCII atau ISO 27001, kewujudan buku panduan bukan sahaja amalan yang baik, malah keperluan audit.

nCrypt menyusun buku panduan ini berasaskan kerangka NIST SP 800-61r2, diselaraskan dengan realiti operasi tempatan, iaitu masa respons MaCERT, jangka masa pemberitahuan PDPA dan keperluan pelaporan kepada BNM bagi institusi kewangan.

Fasa 1: Persediaan, Sebelum Insiden Berlaku

Fasa persediaan ialah fasa yang paling penting kerana ia menentukan kelajuan dan kualiti semua fasa seterusnya. Tanpa persediaan yang betul, fasa pengesanan dan pembendungan menjadi proses cuba-cuba.

Komponen utama persediaan termasuk inventori aset bernilai tinggi (crown jewels), pelan komunikasi krisis, senarai hubungan pembekal respons insiden (IR) dan khidmat siap sedia, salinan luar talian (offline) bagi sandaran yang kritikal, serta latihan simulasi meja (tabletop exercise) sekurang-kurangnya dua kali setahun.

• Inventori aset bernilai tinggi dan pengelasan data sensitif (maklumat pengenalan peribadi (PII), kewangan, harta intelek).
• Senarai hubungan: CEO, COO, penasihat undang-undang, perhubungan awam, pembekal IR dan insurans siber.
• Sandaran 3-2-1 dengan satu salinan yang tidak boleh diubah (immutable) atau terpisah daripada rangkaian (air-gapped).
• Latihan simulasi meja dengan senario ransomware setiap 6 bulan.
• Khidmat siap sedia respons insiden dengan perjanjian tahap perkhidmatan (SLA) respons tidak lebih daripada 2 jam.

Fasa 2: Pengesanan dan Analisis, Mengesan Lebih Awal

Pengesanan bermula daripada pelbagai isyarat, seperti amaran pengesanan dan respons titik akhir (EDR), e-mel pekerja yang melaporkan fail tidak boleh dibuka, panggilan pelanggan kerana laman web tergendala, atau yang lebih buruk, mesej nota tebusan di skrin desktop. Triaj awal mesti menjawab tiga soalan: skop (berapa banyak hos?), vektor (bagaimana ia masuk?) dan magnitud (data apakah yang terjejas?).

Pasukan SOC atau pengesanan dan respons terurus (MDR) yang baik akan mengorelasikan log daripada EDR, tembok api (firewall), Active Directory (AD) dan get laluan e-mel untuk membina garis masa awal. Pencarian penunjuk pencerobohan (IOC), iaitu cincangan fail, alamat IP kawalan dan perintah (C2) dan domain, di seluruh persekitaran ialah keutamaan supaya penyebaran dapat disekat sebelum penyulitan menjadi besar-besaran.

• Korelasi log daripada EDR, AD, tembok api dan get laluan e-mel.
• Pengenalpastian hos pertama yang dijangkiti (patient zero) dan vektor kemasukan awal.
• Pengimbasan IOC merentas seluruh persekitaran untuk menganggar skop.
• Pemerhatian secara senyap: jangan memberi amaran kepada penyerang sebelum langkah pembendungan sedia dilaksanakan.

Fasa 3: Pembendungan, Bermula dalam 60 Minit Pertama

Pembendungan ialah fasa tempat kesilapan yang paling mahal berlaku. Naluri pasukan IT ialah memulakan semula atau memformat hos yang dijangkiti. Tindakan ini boleh memusnahkan kunci penyahsulitan yang tersimpan dalam memori dan menjadikan pemulihan tanpa bayaran mustahil.

Pendekatan yang betul ialah mengasingkan hos, bukan memulakan semula. Putuskan rangkaian (cabut kabel Ethernet atau lumpuhkan port suis atau NIC Wi-Fi) tetapi biarkan kuasa dihidupkan supaya longgokan memori (memory dump) dapat diambil oleh pasukan DFIR. Pada masa yang sama, sekat pergerakan lateral dengan mematikan SMB antara segmen, membatalkan akses VPN pengguna yang terjejas dan menukar kelayakan pentadbir domain.

Bagi institusi kewangan di bawah BNM RMiT, 1 jam pertama juga merangkumi keputusan sama ada untuk mengaktifkan pelan kesinambungan perniagaan dan beralih kepada tapak pemulihan bencana. Keputusan ini biasanya memerlukan kelulusan pengurusan kanan. Tindakan pembendungan dimulakan dalam 60 minit pertama dan lazimnya siap dalam 30–120 minit.

• Asingkan hos: cabut rangkaian, JANGAN mulakan semula atau formatkan.
• Sekat pergerakan lateral SMB/RDP merentas segmen.
• Tarik balik kelayakan yang berhak istimewa (pentadbir domain, akaun perkhidmatan).
• Aktifkan pelan komunikasi krisis dan khidmat siap sedia DFIR.

Fasa 4: Pembasmian, Membuang Pelaku Sepenuhnya

Pembasmian bermaksud membuang mekanisme pengekalan akses penyerang, iaitu tugas berjadual, dasar kumpulan (GPO) yang dimanipulasi, akaun pintu belakang, cangkerang web (web shell) dan binari perisian hasad (malware). Tanpa pembasmian yang menyeluruh, pemulihan hanya mempercepatkan serangan kedua.

Aktiviti utama termasuk menetapkan semula kelayakan KRBTGT dua kali (untuk membatalkan Golden Ticket), menampal kerentanan asal yang dieksploitasi, membina semula pengawal domain jika terjejas, dan memastikan setiap hos dalam skop kesan (blast radius) dibersihkan atau dibina semula daripada imej bersih (gold image).

• Tetapkan semula KRBTGT dua kali untuk membatalkan Golden Ticket.
• Bina semula pengawal domain daripada imej bersih.
• Tampal CVE punca dan perkukuh pengesahan berbilang faktor (MFA) pada akses jauh.
• Audit akaun perkhidmatan dan tukar semua rahsia yang berkemungkinan terdedah.

Fasa 5: Pemulihan, Pulihkan Mengikut Keutamaan

Fasa ini memulihkan operasi mengikut keutamaan perniagaan, bukan mengikut urutan rawak. Pemulihan biasanya bermula dengan Active Directory dan asas identiti, diikuti sistem kewangan, e-mel, dan kemudian aplikasi pelanggan luaran.

Setiap sistem yang dipulihkan mesti disahkan bersih sebelum disambung semula ke rangkaian produksi. Pemantauan ditingkatkan untuk 30–90 hari pertama selepas insiden kerana penyerang sering kembali melalui pintu belakang yang tidak dikesan dalam pusingan pembasmian awal.

• Pulihkan Active Directory dan penyedia identiti (IdP) terlebih dahulu.
• Sahkan kebersihan dengan EDR dan pemburuan ancaman sebelum disambung semula.
• Pemantauan ditingkatkan selama 30–90 hari pascainsiden.
• Komunikasi dengan pelanggan mengikut nasihat undang-undang.

Fasa 6: Pengajaran dan Pelaporan kepada Pengawal Selia

Sesi kajian selepas insiden (PIR) wajib diadakan dalam masa 14 hari selepas pemulihan. Keluaran bertulis mesti merangkumi garis masa insiden, punca utama, kelemahan kawalan, dan pelan tindakan beserta pemilik dan tarikh akhir.

Pelaporan luar termasuk MaCERT (untuk semua insiden berskala besar), NACSA (untuk pengendali NCII di bawah Akta Keselamatan Siber 2024), BNM (untuk institusi kewangan di bawah RMiT), dan Pesuruhjaya Perlindungan Data Peribadi (jika data peribadi terjejas). Tempoh pelaporan berbeza-beza, dan sesetengahnya memerlukan pemberitahuan awal dalam 72 jam.

• Kajian selepas insiden secara bertulis dalam 14 hari.
• Pelaporan kepada MaCERT, NACSA, BNM dan Pesuruhjaya Perlindungan Data Peribadi mengikut kategori insiden.
• Kemas kini buku panduan, senario latihan simulasi meja dan kawalan teknikal.
• Maklumkan lembaga pengarah dan jawatankuasa audit dengan ringkasan eksekutif.

Jadual Tindakan Fasa Mengikut Garis Masa

Jadual berikut meringkaskan tindakan utama, pemilik dan keluaran yang dijangka bagi setiap fasa. Gunakan jadual ini sebagai rujukan pantas semasa krisis sebenar atau semasa latihan simulasi meja.

Peranan MaCERT, CyberSecurity Malaysia dan Komunikasi PDPA

MaCERT (Malaysia Computer Emergency Response Team) di bawah CyberSecurity Malaysia menyediakan sokongan triaj dan penyelarasan insiden, terutamanya bagi pengendali infrastruktur kritikal. Hubungi MaCERT lebih awal, bukan sebagai pengganti pembekal DFIR komersial, tetapi sebagai pelengkap untuk penyelarasan peringkat kebangsaan.

Komunikasi dengan pelanggan dan media mesti diuruskan oleh penasihat undang-undang, bukan IT. Kenyataan pertama yang dikeluarkan menjadi rekod kekal dan boleh digunakan dalam tuntutan undang-undang. Bagi pelanggaran data peribadi, patuhi kewajipan pemberitahuan pelanggaran data (DBN) di bawah Pindaan PDPA 2024, iaitu laporan kepada Pesuruhjaya Perlindungan Data Peribadi yang lazimnya perlu dibuat dalam tempoh 72 jam berdasarkan panduan rasmi DBN.

• MaCERT untuk penyelarasan kebangsaan dan perkongsian risikan ancaman.
• Pembekal DFIR komersial untuk forensik mendalam dan litigasi.
• Penasihat undang-undang mengetuai semua kenyataan luaran.
• PDPA: pemberitahuan kepada subjek data dengan nasihat peguam.